מיליוני ניסיונות פריצה: פרצת אבטחה מאיימת על האינטרנט העולמי

מיליוני ניסיונות תקיפה נגד אתרי אינטרנט ברחבי העולם זוהו בעקבות חשיפת שתי פרצות אבטחה חמורות בשפת התכנות PHP, המשמשת כ-70% מאתרי האינטרנט בעולם. הפרצות מאפשרות להאקרים, בתנאים מסוימים, להשתלט מרחוק על שרתים ללא צורך בשם משתמש או בסיסמה. בעקבות החשיפה, ממשלות, חברות וגופים ציבוריים במדינות שונות החלו להתקין עידכוני אבטחה דחופים, ובחלק מהמקרים אף השביתו שירותים מקוונים כדי למנוע ניצול של החולשות.

על-פי דיווח של סוכנות רויטרס (יום ה', 22.10.26), חברת תשתיות האינטרנט Cloudflare זיהתה זינוק חד בניסיונות לנצל את הפרצות, מאלפי ניסיונות למיליונים בתוך שעות ספורות. מנכ"ל החברה, מתיו פרינס, מסר כי בעשר השעות שקדמו לחשיפה הפומבית זוהו אלפי ניסיונות ניצול, בתוך 45 דקות מהפרסום עלה מספרם לעשרות אלפים, בתוך שעתיים למאות אלפים ובהמשך למיליונים.

מדובר בניסיונות תקיפה שאותרו במערכות החברה, ולא בהכרח בפריצות שהצליחו. בשלב זה לא פורסמו נתונים המעידים על מספר דומה של מערכות שנפגעו בפועל.

שתי החולשות, שזוהו במספרי המעקב CVE-2026-109618 ו-CVE-2026-109619, קיבלו דירוג חומרה של 9.2 מתוך 10. הן מאפשרות לתוקפים להריץ קוד זדוני על שרתים פגיעים ללא הרשאות גישה מוקדמות. ניצול מוצלח שלהן עלול לאפשר גישה למידע רגיש, שיבוש פעילותם של אתרים ושירותים דיגיטליים ואף השתלטות על מערכות.

PHP היא אחת משפות התכנות הנפוצות ביותר להפעלת אתרי אינטרנט. היא משמשת לעיבוד בקשות המגיעות לאתרים, לתקשורת עם מסדי נתונים ולהפעלת יישומים מקוונים. בין היתר, היא משמשת מערכות לניהול תוכן ואתרי מסחר. לכן, חולשה ברכיב הבסיסי הזה עלולה להשפיע על מספר גדול במיוחד של שירותים דיגיטליים ברחבי העולם.

השבתות שירותים ביפן ובאירופה

לפי רויטרס, ביפן הודיעו חברות גדולות, ובהן קבוצת הבנקאות מיצובישי UFJ, חברת הברוקראז' נומורה, חברת התעופה ANA וחברת הרכבות East Japan Railway, על השבתה זמנית של חלק משירותי האינטרנט שלהן כאמצעי חירום.

גם משרד האוצר היפני והסוכנות המטאורולוגית השביתו חלק מהשירותים המקוונים לצורך ביצוע פעולות אבטחה, ורשות המיסים היפנית הפסיקה זמנית את פעילותו של שירות מקוון.

בצרפת הודיעה חברת התקשורת Orange כי השביתה באופן זמני גישה לחלק מהאתרים והיישומים המבוססים על PHP בחברות הבנות שלה. בפינלנד השביתה ספקית שירותי המחשוב הממשלתית Valtori שירותי אינטרנט ציבוריים, ובהמשך החלה להשיבם לפעילות לאחר התקנת תיקוני אבטחה.

מנכ"ל Valtori, האנו נאומאנן, הסביר כי החזרת השירותים לפעילות מלאה עלולה להימשך ימים ואף שבועות, משום שלאחר התקנת העידכונים יש לבצע בדיקות יסודיות של המערכות. החברה הדגישה כי ההשבתות לא נגרמו בעקבות פריצה למערכותיה אלא בוצעו כאמצעי זהירות.

בבריטניה פרסם המרכז הלאומי לאבטחת סייבר (NCSC) אזהרה מיוחדת, שבה קרא לארגונים לזהות מערכות המשתמשות ב-PHP ולהתקין את עידכוני האבטחה ללא דיחוי. המרכז המליץ לארגונים שאינם מסוגלים לבצע את העידכונים מיד לשקול ניתוק זמני של המערכות הפגיעות מהאינטרנט.

גם סוכנות הסייבר של האיחוד האירופי, ENISA, פרסמה יחד עם גופים אירופיים נוספים הודעה הקוראת לפעולה מיידית. בהודעה הודגש כי שתי החולשות מאפשרות הרצת קוד מרחוק ללא אימות זהות, וכי יש לתת עדיפות לטיפול במערכות החשופות ישירות לאינטרנט.

הפרצות נחשפו בעזרת בינה מלאכותית

אחד ההיבטים הבולטים בפרשה הוא השימוש בכלי בינה מלאכותית במסגרת גילוי החולשות. לפי דיווחי AP ורויטרס, כלים אלה סייעו לחשוף את בעיות האבטחה שהיו קיימות בקוד התוכנה במשך שנים.

לפי AP, חברת OpenAI מסרה כי הובילה במהלך החודשיים האחרונים שיתוף פעולה עם חוקרי אבטחה, ספקי שירותים וגורמים נוספים כדי להתמודד עם החולשות ב-PHP. החברה העריכה כי כלי בינה מלאכותית זיהו את הפרצות לפני שגורמים עוינים הצליחו לאתרן.

החשיפה ממחישה את השינוי שמחוללת הבינה המלאכותית בתחום אבטחת הסייבר. מצד אחד, היא מאפשרת לחוקרי אבטחה לאתר חולשות מורכבות בתוכנות נפוצות. מצד שני, לאחר שפרטים על החולשות מתפרסמים, גם תוקפים יכולים להיעזר בכלים מתקדמים כדי לנסות לנצל אותן.

על-פי הדיווחים, פרטים על החולשות התפרסמו לפני שהושלמה ההיערכות לפרסום תיקוני האבטחה. צוות הפיתוח של PHP פרסם ביום רביעי (יום ד', 21.10.26) עידכונים דחופים שנועדו לחסום את אפשרויות הניצול.

העידכונים כוללים את הגרסאות 8.5.12, 8.4.27, 8.3.36 ו-8.2.35. מפעילי מערכות המבוססות על PHP נדרשים לעדכן לגרסה המתוקנת המתאימה למערכותיהם. גרסאות ישנות שאינן נתמכות עוד מחייבות מעבר לגרסה נתמכת.

החשש: השתלטות על שרתים וגניבת מידע

הסכנה המרכזית אינה מוגבלת להשבתה של אתר אינטרנט. ניצול מוצלח של החולשות עלול להעניק לתוקף יכולת להפעיל פקודות על השרת שמאחורי האתר, ומשם לפגוע בשירותים נוספים או להגיע למידע שאינו אמור להיות חשוף למשתמשים חיצוניים.

בהודעת מערך הסייבר של שירות הבריאות הבריטי, NHS England, צוין כי ניצול החולשות עלול לאפשר הרצת קוד מרחוק או חשיפה של מידע רגיש מזיכרון המערכת. מומחי האבטחה של הארגון העריכו כי הסבירות לניסיונות ניצול נוספים של החולשות גבוהה.

הסיכון אינו מוגבל לאתרים ציבוריים. גם מערכות ניהול פנימיות, ציוד תקשורת ויישומים המשתמשים ב-PHP כחלק מפעילותם עלולים להיות חשופים. לכן, רשויות הסייבר ממליצות לארגונים לבדוק את כלל המערכות שברשותם ולא להסתפק בעידכון האתרים המרכזיים בלבד.

בסין הורה משרד התעשיה לארגונים לבדוק את מערכותיהם ולעדכן לגרסאות מאובטחות. בקוריאה הדרומית הועלתה רמת התרעת הסייבר במגזר הפרטי והופעלו צעדי תגובה מיוחדים מחשש להתגברות התקיפות.

למרות מספרם הגבוה של ניסיונות התקיפה, עדיין קיימת אי-ודאות לגבי היקף הפגיעה בפועל. עם זאת, מהירות הזינוק בניסיונות הניצול והיקף השימוש העולמי ב-PHP הפכו את האירוע לאתגר אבטחת סייבר בינלאומי, המחייב ארגונים רבים לפעול בתוך זמן קצר כדי לצמצם את החשיפה לתקיפות.